Istio 和 Envoy 的 WebAssembly 可扩展性：回顾一周年

在一年前的今天，我们向 Istio 1.5 版本中引入了基于 WebAssembly 的可扩展性。

在过去的一年里，Istio、Envoy 和 Proxy-Wasm 社区继续共同努力， 使 WebAssembly（Wasm）可扩展性更加稳定、可靠且易于采用。 让我们通过 Istio 1.9 发布版对 Wasm 支持进行更新，并谈谈我们未来的计划。

WebAssembly 支持已合并到上游 Envoy

在将 Wasm 和 WebAssembly for Proxies（Proxy-Wasm）ABI 的实验性支持添加到 Istio 对 Envoy 的分支后，我们从早期用户收集了一些很好的反馈。 这些反馈与开发核心 Istio Wasm 扩展所获得的经验相结合， 帮助 WebAssembly 在运行时变的更加成熟和稳定。 这些改进解决了可直接将 Wasm 支持合并到 Envoy 上游的阻碍， 于是在 2020 年 10 月它成为所有官方 Envoy 版本的一部分。 这是一个重要的里程碑，因为它表明：

• 运行时已准备好进行更广泛的采用。
• 编程 ABI/API、扩展配置 API 和运行时行为正在变得稳定。
• 您可以期待未来有更大的采用和支持社区。

wasm-extensions 生态系统仓库

作为 Envoy Wasm 运行时的早期用户，Istio 的可扩展性和可观测工作组在开发扩展方面获得了很多经验。 我们构建了几个一流的扩展，包括 Metadata 交换、 Prometheus 统计信息 和属性生成。 为了更广泛地分享我们的学习成果，我们在 istio-ecosystem 组织中创建了一个 wasm-extensions 存储库。 该存储库有两个目的：

• 它提供了规范的示例扩展，涵盖了几个热门需求的功能 （例如基本身份验证）。
• 它提供了 Wasm 扩展开发、测试和发布指南。 该指南基于与 Istio 可扩展性团队使用、维护和测试的相同构建工具链和测试框架。

该指南目前涵盖了使用 C++ 进行 WebAssembly 扩展开发和单元测试， 以及使用 Go 测试框架进行集成测试， 通过运行带有 Istio 代理二进制文件的 Wasm 模块来模拟真实运行时。在未来，我们还将添加几个更多的规范扩展， 例如与 Open Policy Agent 的集成以及基于 JWT 令牌的请求头操作。

通过 Istio 代理分发 Wasm 模块

在 Istio 1.9 之前，需要使用 Envoy 远程数据源将远程 Wasm 模块分发到代理。 在此示例中， 可以看到定义了两个 EnvoyFilter 资源：一个用于添加远程获取 Envoy 集群，另一个用于将 Wasm 过滤器注入 HTTP 过滤器链中。 这种方法有一个缺点：如果由于错误的配置或瞬态错误而导致远程获取失败， 则 Envoy 将被错误的配置卡住。如果将 Wasm 扩展配置为 fail closed， 则错误的远程获取将阻止 Envoy 提供服务。要解决这个问题， 需要对 Envoy xDS 协议进行根本性改变， 使其允许异步 xDS 响应。

Istio 1.9 通过利用 istio-agent 内部的 xDS 代理和 Envoy 的扩展配置发现服务（ECDS）， 提供了一个可靠的开箱即用的分发机制。

istio-agent 拦截来自 istiod 的扩展配置资源更新， 从中读取远程获取提示，下载 Wasm 模块，并使用已下载的 Wasm 模块路径重写 ECDS 配置。如果下载失败，istio-agent 将拒绝 ECDS 更新并阻止错误配置到达 Envoy。有关更多详细信息， 请参见我们的 Wasm 模块分发文档。

Istio Wasm SIG 和未来工作

尽管我们在 Wasm 可扩展性方面取得了很多进展，但该项目仍有许多方面需要完成。 为了整合各方的努力并更好地应对未来的挑战，我们成立了一个 Istio WebAssembly SIG， 旨在提供一种标准和可靠的方式，使 Istio 能够使用 Wasm 扩展。 以下是我们正在处理的一些事项：

• 一流的扩展 API：目前，Wasm 扩展需要通过 Istio 的 EnvoyFilter API 注入。 一流的扩展 API 将使在 Istio 中使用 Wasm 更加容易， 并且我们预计这将在 Istio 1.10 中引入。
• 分发模块的相互操作性：基于 Solo.io 的 WebAssembly OCI 图像规范， 标准的 Wasm 模块格式将使构建、拉取、发布和执行变得容易。
• 基于容器存储接口（CSI）的模块分发：使用 istio-agent 分发模块易于采用， 但可能不够高效，因为每个代理都会保留 Wasm 模块的副本。 作为更有效的解决方案，使用 Ephemeral CSI， 将提供一个 DaemonSet 来配置 Pod 的存储。 类似于 CNI 插件，CSI 驱动程序将从 xDS 流中获取 Wasm 模块， 并在 Pod 启动时将其挂载到 rootfs 内部。

如果您想加入我们，该小组将每隔一周的北京时间星期三上午 6 点 （太平洋时间星期二下午 2 点）举行会议。 您可以在 Istio 工作组日历上找到会议。

我们期待看到您如何使用 Wasm 来扩展 Istio！